WireGuard DNS ar iPhone: dim ond ôl-ddodiad chwilio yw’r parth

Rydych chi’n ysgrifennu un llinell gyda chyfeiriad datryswr a pharth cwmni, gan ddisgwyl mai dim ond enwau yn y parth hwnnw fydd yn defnyddio datryswr y twnnel. Ar gleient Apple, mae pob enw bellach yn mynd yno, ac mae enwau byr yn y parth yn cael eu datrys hefyd. Mae’r llinell yn gwneud dau beth ar wahân, a dim ond un ohonynt sydd ynghylch pa ymholiadau y mae’r twnnel yn eu trin. Y llall yw hwylustod teipio sydd wedi cael ei ddyrchafu’n bolisi drwy ddarllen dymunol.

I beth y mae’r llinell DNS yn cael ei dosrannu

Mae’r cleient yn darllen y cofnod fel rhestr ac yn dosbarthu pob eitem yn ôl ei siâp. Mae unrhyw beth sy’n edrych fel cyfeiriad yn dod yn weinydd DNS; mae unrhyw beth sy’n edrych fel parth yn dod yn ôl-ddodiad chwilio. Mae’r ddau’n gorffen yng ngosodiadau’r twnnel, ond mewn meysydd gwahanol. Mae llinell enghreifftiol ar gyfer twnnel sy’n cario datryswr preifat ac un parth mewnol yn edrych fel hyn.

DNS = 10.24.8.53, lab.internal.example

Mae’r cyfeiriad yn cyflenwi’r datryswr. Mae’r parth yn cyflenwi ôl-ddodiad sy’n caniatáu i gleient deipio enw byr ac i’r system ychwanegu’r gweddill cyn gofyn. Nid yw’r naill eitem na’r llall yn dweud unrhyw beth am gyfyngu’r datryswr i’r parth hwnnw, a dyna’r rhan y mae pobl yn ei disgwyl ac nad ydynt yn ei chael. Dim ond un maes ar y platfform all fynegi’r cyfyngiad hwnnw, ac nid hwn yw’r maes hwnnw.

Dau faes Apple, dau waith gwahanol

Mae Apple yn datgelu’r gwahaniaeth yn ei wrthrych gosodiadau DNS. Mae’r rhestr parthau chwilio wedi’i dogfennu fel y rhestr a ddefnyddir i gymhwyso enwau gwesteiwr un label: teipiwch enw gwesteiwr noeth a gall y system atodi pob ôl-ddodiad yn ei dro. Rheol cwblhau yw hon, nid rheol llwybro. Nid oes unrhyw beth yn y rhestr honno’n penderfynu pa weinydd sy’n cael ei ofyn.

Mae’r rhestr parthau cyfateb yn briodwedd wahanol. Mae’n penderfynu pa fannau enw sy’n defnyddio’r set hon o osodiadau DNS, ac mae cofnod gwag yn golygu’r parth diofyn yn hytrach nag un ôl-ddodiad penodol. generadur gosodiadau twnnel pecynnau yng nghleient Apple yn dilyn y model hwnnw. Mae’n rhoi’r ôl-ddodiadau chwilio a ddosrannwyd yn y rhestr chwilio, a phan fydd gweinyddwyr yn bresennol mae’n gosod y rhestr gyfateb i’r llinyn gwag. Y canlyniad yw datryswr twnnel sy’n ateb popeth y mae’r system yn ei anfon ato, ynghyd ag ôl-ddodiad sy’n helpu gydag enwau byr.

Felly nid yw parth ar y llinell honno’n ddewisydd man enw. Nid yw ychwanegu un arall yn culhau pa ymholiadau y mae’r twnnel yn eu defnyddio, ac nid yw ei dynnu’n eu hehangu chwaith. Yr unig beth sy’n newid yw faint o enwau byr sy’n cael eu cwblhau.

Pam mae pob enw’n dal i gyrraedd datryswr y twnnel

Gyda’r cofnod cyfateb gwag, mae’r twnnel yn ddatryswr ymgeisiol ar gyfer enwau cyffredin, nid yn unig ar gyfer parth y cwmni. Ar ffurfweddiad twnnel llawn ychydig iawn y mae hyn yn cyfrif fel arfer, oherwydd mae’r holl draffig yn y twnnel beth bynnag. Ar dwnnel rhanedig mae’n cyfrif yn fawr. Gall enwau cyhoeddus bellach gael eu datrys gan ddatryswr sy’n dal dim ond parth preifat, ac mae methiant yn edrych fel VPN wedi torri pan mai datryswr ydyw mewn gwirionedd sy’n ateb dim ond rhan o’r man enw. Mae’r twnnel yn iawn, mae’r ymholiadau’n gadael, ac mae’r atebion yn dod yn ôl yn wag.

Mae dau atgyweiriad ar gael ac maent yn benderfyniadau gwahanol. Gwnewch ddatryswr y twnnel yn ddatryswr cyflawn sy’n anfon enwau cyhoeddus ymlaen drwy’r llwybr cymeradwy, neu stopiwch anfon enwau cyhoeddus ato drwy newid ffurfweddiad y cleient yn hytrach na’r rhestr parthau. Mae’r cyntaf yn cadw pob ymholiad ar y twnnel ac yn ymddiried yn yr uwch-lif. Mae’r ail yn cadw rhai ymholiadau’n lleol ac yn derbyn y gall enwau preifat roi’r gorau i ddatrys tra bo’r twnnel i lawr.

Beth fyddai DNS rhanedig ei angen mewn gwirionedd

Mae polisi datryswr wedi’i gwmpasu i fan enw yn gofyn am gleient sy’n caniatáu i chi ei fynegi: cyfateb parthau ar blatfformau Apple, neu osodiad cyfatebol yn y cynnyrch a ddefnyddiwch. Ni all maes ffurfweddiad sy’n derbyn gweinyddwyr ac ôl-ddodiadau yn unig fynegi hynny, waeth sut y caiff ei atalnodi. Gall proffil gario’r polisi oherwydd mae’n disgrifio ffurfweddiad a reolir yn hytrach nag awgrym adeg cysylltu. Gall enwi’r parth, y gweinyddwyr, a’r hyn a ddylai ddigwydd pan fydd y parth hwnnw’n anghyraeddadwy. Dyna’r gwahaniaeth rhwng osodiad a chontract.

Ar ddyfeisiau Apple a reolir, mae hyn fel arfer yn cael ei ddanfon drwy broffil ffurfweddiad sy’n cario’r gosodiadau DNS sy’n benodol i’r parth. Mae hwn yn fecanwaith gwahanol i ffeil ffurfweddiad WireGuard, a dim ond os yw’r cleient yn parchu’r proffil y gall y ddau gydfodoli. Gwiriwch beth y mae eich cleient yn ei alw’r maes mewn gwirionedd cyn tybio bod y ddau gynnyrch yn ymddwyn yn debyg. Mae sgript wg-quick ar Mac a’r ap WireGuard ar iPhone yn darllen llinellau tebyg ac yn eu gosod drwy haenau gwahanol.

Darllenwch y gosodiadau a osodwyd, nid y ffurfweddiad

Ar Mac gallwch archwilio’r hyn y daeth y system iddo, sy’n fwy addysgiadol na ailddarllen y ffeil a ysgrifennwyd gennych. Mae’r rhestr datryswyr yn dangos pa weinyddwyr sydd wedi’u ffurfweddu ar gyfer pa barthau, ac mae’r ymholiadau cwmpasedig yn dangos pa un a enillodd. Mae cleient sy’n difetha’r llinell yn dangos hynny yma yn hytrach nag yn y ffeil a ysgrifennwyd gennych. Ar iOS nid oes llinell orchymyn gyfatebol, felly’r dystiolaeth yno yw canlyniad: enw preifat sy’n datrys drwy’r twnnel, ac enw cyhoeddus y mae ei ateb yn datgelu pa ddatryswr a atebodd.

scutil --dns | grep -A3 resolver
networksetup -getdnsservers Wi-Fi

Mae’r ddau orchymyn hyn yn argraffu ffurfweddiad cyfredol y datryswr a’r gweinyddwyr DNS ar gyfer y gwasanaeth gweithredol. Os yw datryswr y twnnel yn ymddangos fel datryswr diofyn heb gyfyngiad parth, mae’r ffurfweddiad yn gwneud yn union yr hyn a ofynnodd y cleient amdano. Trwsiwch hynny drwy newid y mecanwaith, nid drwy ychwanegu ail ôl-ddodiad a gobeithio y bydd yr ymddygiad yn newid.